Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Dieser Auftragsverarbeitungsvertrag ("AVV") gemäß Art. 28 DSGVO ergänzt die Allgemeinen Geschäftsbedingungen ("AGB") zwischen dem Auftraggeber ("Sie", "Verantwortlicher") und der Nuqo GmbH, Körnerstrasse 10, 13585 Berlin ("Nuqo", "Auftragsverarbeiter").

Der AVV gilt für die Dauer der Nutzung des Dienstes gemäß den AGB.

2. Art und Zweck der Verarbeitung

Nuqo verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Erbringung der in den AGB beschriebenen Dienstleistungen, insbesondere:

• Extraktion und Strukturierung von Stücklisten und Spezifikationen aus hochgeladenen Dokumenten
• KI-gestützte Analyse technischer Dokumente
• Speicherung und Verwaltung von Angebots- und Anfragedaten
• Benutzerkontenverwaltung und Authentifizierung

3. Kategorien betroffener Personen

• Mitarbeiter und Beauftragte des Verantwortlichen (Benutzerkonten)
• Ansprechpartner in hochgeladenen Anfragedokumenten (Kontaktdaten in RFQs, Stücklisten, Zeichnungen)

4. Kategorien personenbezogener Daten

• Kontodaten: Name, E-Mail-Adresse, Telefonnummer, Anmeldeinformationen
• Organisationsdaten: Firmenname, Organisationseinstellungen
• Dokumentdaten: In hochgeladenen Dateien enthaltene personenbezogene Daten (z. B. Ansprechpartner, Kontaktdaten)
• Nutzungsdaten: IP-Adresse, Sitzungsdaten, Ereignisprotokolle

5. Pflichten des Auftragsverarbeiters

Nuqo verpflichtet sich:

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten
• Den Verantwortlichen unverzüglich zu informieren, wenn Nuqo der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt
• Sicherzustellen, dass sich zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet haben
• Angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu ergreifen
• Anfragen betroffener Personen nicht selbst zu beantworten, sondern unverzüglich an den Verantwortlichen weiterzuleiten, und ihn bei der Erfüllung der Betroffenenrechte zu unterstützen
• Den Verantwortlichen unverzüglich über Datenschutzverletzungen zu informieren
• Den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen — insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde — unter Berücksichtigung der Art der Verarbeitung und der Nuqo zur Verfügung stehenden Informationen
• Nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben und vorhandene Kopien zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht

6. Löschung und Rückgabe

Die Wahl zwischen Löschung und Rückgabe trifft der Verantwortliche. Nuqo führt sie innerhalb von 30 Tagen nach Zugang der Weisung oder nach Ende des Vertragsverhältnisses aus und zieht die eingesetzten Unterauftragsverarbeiter nach. Sicherungskopien werden nicht einzeln bereinigt, sondern laufen nach ihrer Aufbewahrungsdauer ab. Wird eine Sicherungskopie eingespielt, die bereits gelöschte Daten enthält, wird die Löschung unverzüglich wiederholt. Auf Verlangen bestätigt Nuqo die Löschung in Textform.

Protokolldaten mit Bezug zu Auftragsdaten — insbesondere die Verarbeitungsprotokolle zu einzelnen Anfragen — werden darüber hinaus laufend gelöscht, spätestens 61 Tage nach ihrer Entstehung. Endet das Vertragsverhältnis vorher, wird dieser Ablauf nicht abgewartet: Sie werden zusammen mit den übrigen personenbezogenen Daten nach Absatz 1 gelöscht.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Nuqo kündigt die Beauftragung eines neuen oder den Wechsel eines bestehenden Unterauftragsverarbeiters mindestens 14 Tage im Voraus in Textform an. Innerhalb dieser Frist kann der Verantwortliche Einspruch erheben. Ein Einspruch hindert den Wechsel nicht; die Parteien erörtern in diesem Fall unverzüglich eine Lösung. Kommt binnen angemessener Frist keine Einigung zustande, kann der Verantwortliche den Vertrag hinsichtlich der betroffenen Leistungen außerordentlich kündigen.

Nuqo verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem AVV festgelegt sind, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet Nuqo gegenüber dem Verantwortlichen für dessen Verstöße.

Aktuelle Unterauftragsverarbeiter:

Umfang der Stripe-Verarbeitung: Stripe wird ausschließlich zur Rechnungs- und Zahlungsabwicklung eingesetzt und erhält nur die Rechnungskontaktdaten des Kunden sowie Zahlungsmittel-/Bankdaten. Stripe erhält keine hochgeladenen Dokumente, Stücklisten, Zeichnungen, Angebotsinhalte, Kalkulationsdaten oder Endkundendaten des Kunden — solche Daten werden niemals an Stripe weitergegeben.

8. Technische und organisatorische Maßnahmen

Nuqo ergreift die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind entlang der Schutzziele des Art. 32 Abs. 1 DSGVO gegliedert:

• Vertraulichkeit: Zugriff nur für befugte Personen über rollenbasierte Berechtigungen, Trennung der Daten nach Organisation, Passwörter mit Argon2id gehasht, sichere Sitzungsverwaltung (HttpOnly-Cookies, SameSite, Secure-Flag); alle Mitarbeiter sind schriftlich zur Vertraulichkeit verpflichtet.
• Integrität: Verschlüsselung der Übertragung mittels TLS und Verschlüsselung ruhender Daten; Änderungen an Angebotsdaten werden protokolliert und bleiben nachvollziehbar.
• Verfügbarkeit: Betrieb auf Servern in Deutschland, laufende Überwachung mit Alarmierung, zeitnahe Sicherheitsupdates.
• Belastbarkeit: Die Systeme sind darauf ausgelegt, Last- und Störungsspitzen ohne Datenverlust zu überstehen; Störungen werden erkannt und behoben.
• Wiederherstellbarkeit: Regelmäßige Sicherungskopien, deren Wiederherstellung getestet wird, damit Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederhergestellt werden können.
• Regelmäßige Überprüfung: Die Wirksamkeit dieser Maßnahmen wird regelmäßig überprüft und bei Bedarf angepasst.

Eine ausführliche Darstellung der Maßnahmen stellt Nuqo dem Verantwortlichen auf Anfrage zur Verfügung.

9. Übermittlung in Drittländer

Die KI-gestützte Verarbeitung hochgeladener Dokumente (Stücklisten, Zeichnungen, Spezifikationen) erfolgt ausschließlich über EU-Endpunkte — die Azure EU Data Zone bzw. Vertex AI in der EU-Multiregion. Diese Inhalte verlassen die EU nicht.

Die eingesetzten KI-Anbieter dürfen die übermittelten Inhalte vertraglich nicht zum Training ihrer Modelle verwenden; es gelten die Datenschutzbedingungen von Microsoft bzw. Google Cloud. Bei Microsoft werden Ein- und Ausgaben im Rahmen der Missbrauchserkennung bis zu 30 Tage vorgehalten und anschließend gelöscht; eine darüber hinausgehende Speicherung findet nicht statt. Vertex AI speichert die übermittelten Inhalte nicht.

Eine Übermittlung in Drittländer findet allein bei der Zahlungsabwicklung über Stripe statt, die ausschließlich Abrechnungsdaten und keine Dokumenteninhalte umfasst. Sie erfolgt auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission, von Standardvertragsklauseln (SCC) oder anderer anerkannter Garantien gemäß Art. 44 ff. DSGVO.

10. Prüfrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses AVV durch angemessene Maßnahmen zu überprüfen, einschließlich Audits. Nuqo stellt alle erforderlichen Informationen zur Verfügung und unterstützt bei Prüfungen.

11. Kontakt

Bei Fragen zu diesem AVV wenden Sie sich bitte an: [email protected]